Wettlauf mit der Zeit Darum ist Log4Shell so gefährlich

Vor einer Woche sorgte die Nachricht der Sicherheitslücke Log4Shell für Schockwellen nicht nur in den IT-Abteilungen. Warum der Zero-Day-Exploit so gefährlich ist.

Als vor einer Woche die ersten Berichte über die Sicherheitslücke «Log4Shell» die Runde machten, ging es nicht nur in den IT-Abteilungen, sondern auch in den Nachrichtenredaktionen schlagartig hektisch zu.

Ein komplexes Informatik-Problem wurde in Sekundenschnelle zur Herausforderung für die weltweite IT-Infrastruktur, und damit zum Problem für die zunehmend vernetzte Welt. Der Tenor von IT-Sicherheitsexpert*innen: Log4Shell sei nichts weniger als eine der grössten Bedrohungen für das Internet überhaupt.

Auch eine Woche später hält die Lücke IT-Expert*innen nach wie vor in Atem.

Was ist Log4Shell?

Seinen Namen Log4Shell hat die Sicherheitslücke durch die sehr verbreitete Programmbibliothek Log4J erhalten. Hinter dem Akronym  verbirgt sich Logging for Java (dt. «Protokollieren für Java»). Es ist somit ein kleines Hilfsprogramm, welches zum Türöffner für eine Vielzahl anderer Programme wird, durch die Sicherheitslücke funktionsbedingt jedoch auch für mögliche Angreifer. 

Diese können die Lücken in Log4J ausnutzen, Programmcode auf dem kompromittierten System ausführen, um schliesslich Informationen abzugreifen oder auch Rechenleistung für das Krypto-Mining zu stehlen. Bleiben die Folgen unentdeckt, kann dies fatale Folgen haben. 

Die Attacken folgten in atemberaubenden Tempo. Das Team von Log4j reagierte zwar schnell und hat bereits zahlreiche Updates zur Verfügung gestellt. Aber da liegt nicht das Problem. Es sind unter anderem die vielen Millionen Geräte, die selten oder gar nicht gewartet werden. Aber auch mit der schlichten Installation eines Patches ist es oftmals nicht getan. Log4Shell ist Open-Source-Software und für unzählige Systeme angepasst.

Die versammelte Cybercrime-Gemeinde begann nach Bekanntwerden von Log4Shell umgehend, mithilfe von Massenscans so viele verwundbare Systeme wie möglich auszumachen. Dabei klopft spezielle Software automatisiert IP-Adressen ab und analysiert, ob der entsprechende Webserver anfällig ist.

Sicherheitsforscher*innen und IT-Dienstleister registrierten verdächtige Aktivitäten und Angriffe nicht nur von Hackergruppen, sondern auch von Geheimdiensten rund um den Globus. Mit dabei die üblichen Verdächtigen wie etwa China, Iran und Nordkora. 

Seit Bekanntwerden der Sicherheitslücke — wahrscheinlich schon davor — liefern sich Cyberkriminielle und Entwickler ein Wettrennen. Wie so oft haben Letztere dabei häufig das Nachsehen.

Meldungen über erfolgreiche Angriffe sind mittlerweile kaum mehr zu überblicken. Bei der Analyse der Attacken sparen sonst zurückhaltende Informatiker*innen nicht mit Superlativen. Mitunter kommt dabei gar pandemisches Jargon zum Einsatz. Denn wie bei Corona führen neue Varianten permanent zu neuen Hürden für Entwickler*innen.

SicherheitslückeHunderte Millionen Computer und Apps sind gefährdet

Warum ist Log4Shell so gefährlich?

Die Gefahr des sogenannten Zero-Day-Exploits liegt vor allem in der enormen Verbreitung von Log4J. Praktisch alle Java-Applikationen verwenden diese Bibliothek. Java wiederum ist auf Milliarden von Systemen in Verwendung, vom Smartphone bis zum Webserver.

Michael Stampfli, Head of Security Operations beim Schweizer Cybersecuritiy Dienstleister InfoGuard AG erklärt im Gespräch mit blue News: «Log4Shell ist eine gravierende kritische Sicherheitslücke, welche in unzähligen Produkten von einfachen Open-Source-Organisations-Applikationen stecken kann.»

Bei einem Zero-Day-Exploit handelt es sich um eine Sicherheitslücke, die entweder gleichzeitig oder sogar vor Erscheinen eines Patches bekannt wird. «Dadurch entsteht ein Zeitfenster für Angreifer; ein Zeitfenster, welches ihnen erlaubt, diese Schwachstellen auszunutzen», erläutert Reto Zeidler, Chief Managed Services Officer der ISPIN AG.

Dieses Zeitfenster nutzen Angreifer mittlerweile millionenfach. Einer Aufsehen erregenden Studie von Check Point Software zufolge seien bereits innert der ersten drei Tagen nach Bekanntwerden der Lücke rund 846'000 Attacken registriert worden.

Eine der grössten Herausforderungen besteht Zeidler zufolge zunächst darin, herauszufinden, wo diese Lücke überhaupt vorhanden ist: «Was die Log4Shell-Sicherheitslücke besonders macht, ist, dass sie eine Softwarekomponente betrifft, welche als Bestandteil in den verschiedensten Anwendungen genutzt wird und daher extrem weit verbreitet ist.»

Wie ist die Situation in der Schweiz?

Natürlich versetzte die Sicherheitslücke auch in der Schweiz IT-Fachleute allerorten in Alarmbereitschaft. Der Analyse von Check Point zufolge sind hierzulande mit 48 Prozent fast die Hälfte der vom Unternehmen erfassten Firmennetzwerke bereits angegriffen worden.

Auch bei InfoGuard haben sich bereits mehrere Unternehmen mit Hilfeersuchen gemeldet, wenngleich Bestandskunden bislang nicht betroffen seien.

Reto Zeidler weiss Ähnliches zu berichten: «Unsere Spezialisten können bestätigen, dass es derzeit aktive Angriffsversuche gibt. Bisher ist es uns gelungen, diese bei unseren Kunden abzuwehren. Damit gewinnen diese Zeit, um diese Lücken zu schliessen.»

Was ist zu tun?

Privatanwender können sich selbst nicht wirklich gegen die Lücke schützen. Die Liste der betroffenen Unternehmen jedoch liest sich wie eine Hitliste der Internet-Infrastruktur, von Apple über Google bis Amazon.

Da ein sogenannter Exploit nur dann möglich ist, wenn der Server Internet-Zugang hat, gilt laut Stampfli höchstens die allgemeine Empfehlung: «Das Blockieren von unbekanntem, ausgehendem Netzwerktraffic von Servern, damit das Nachladen von Schadcode verhindert wird.»

Aktuell helfen die Expert*innen des von Infoguard vorwiegend bei der Bewältigung der Identifizierung betroffener Systeme. Dabei sei es Stampfli zufolge besonders wichtig, «erfolgreiche Angriffe so rasch wie möglich zu erkennen und einzudämmen».

Auch Zeidler betont die Bedeutung der Geschwindigkeit: «Wir empfehlen den Unternehmen, so rasch als möglich festzustellen, welche Systeme bei ihnen von dieser Lücke betroffen sind. Dabei sind vor allem diejenigen Systeme zu priorisieren, welche von aussen, also aus dem Internet, erreichbar sind.»

Wie geht es jetzt weiter?

Die grosse Verbreitung der Software und einige andere Faktoren führen nach Ansicht von IT-Fachleuten dazu, dass «Log4Shell» auch weiterhin ein Sicherheitsproblem bleiben wird — und damit auch eine Herausforderung für die kritische Infrastruktur Internet.

Expert*innen sind sich weitgehend einig, dass es das so schnell nicht gewesen sein wird. So auch Michael Stampfli: «Ein eingeschränktes Set an präventiven Massnahmen sowie die Schwierigkeit der Identifikation betroffener Komponenten sind dafür verantwortlich, dass uns diese Schwachstelle noch einige Zeit begleiten wird.»